检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
DGA 访问通过算法生成的域。此类域通常由恶意软件使用，并且可能表示虚拟机被盗用。 默认严重级别：高危。 数据源：DNS日志。 此调查结果通知您，发现一台虚拟机访问通过算法生成的域。此类域通常由恶意软件使用，并且可能表示虚拟机被盗用。 修复建议： 如果此虚拟机IP为您正常使用IP，请添加到MTD的白名单中。
DGA 访问通过算法生成的域。此类域通常由恶意软件使用，并且可能表示虚拟机被盗用。 默认严重级别：高危。 数据源：DNS日志。 此调查结果通知您，发现一台虚拟机访问通过算法生成的域。此类域通常由恶意软件使用，并且可能表示虚拟机被盗用。 修复建议： 如果此虚拟机IP为您正常使用IP，请添加到MTD的白名单中。
此调查结果通知您，检测到某些ECS正在扫描远程资源的出站端口，可能从事非法活动。 修复建议：如果此事件为异常行为，则您的ECS有可能遭到攻击，请查看是否存在可疑进程，并清除任何发现的恶意软件，如有必要，建议您终止当前ECS，根据需要使用新ECS来做代替。 父主题： 查看告警类型详情
此调查结果通知您，检测到某些ECS正在扫描远程资源的出站端口，可能从事非法活动。 修复建议：如果此事件为异常行为，则您的ECS有可能遭到攻击，请查看是否存在可疑进程，并清除任何发现的恶意软件，如有必要，建议您终止当前ECS，根据需要使用新ECS来做代替。 父主题： 查看告警示例及统计
检测设置”，进入“检测设置”界面。 在页签“日志数据源”，可查看开启/未开启日志数据源的检测服务，如图2所示，单击对应服务的开关可关闭/开启对应服务的日志数据源检测，相关参数说明如表1所示。 图2 日志数据源 表1 日志检测 参数 说明 开关状态 是否开启该服务的日志检测。 ：开启状态 ：关闭状态 累计流量
型示例”窗口，可查看所有告警类型示例和各服务日志分别的告警类型示例，详情请参见查看告警类型详情。 由于AI检测模型的普遍特性，一般上线后需要基于您的真实数据学习训练大致3个月，学习阶段检测结果可能存在误差，您可以在告警列表的“操作”列单击“反馈可信度”反馈出现的问题。 告警详细信
此调查结果通知您，有不属于您账户下的用户首次访问桶，此客户端没有此桶的历史访问记录。 修复建议： 如果此用户不是此桶的授权用户，则可能表明凭据已被公开或您的OBS权限限制性不够，请修复受损的OBS存储桶权限访问策略。 UserAccessFrequencyAbnormal 发现用户访问特定桶的频率出现异常。
PI通常用于更改您的账户中的安全组、路由和ACL的网络访问权限。 严重级别：非固定，MTD根据告警实际威胁程度定级。 数据源：CTS日志。 此调查结果通知您，发现与历史情报相似的恶意IP尝试调用一个API，该API通常用于更改您的账户中的安全组、路由和ACL的网络访问权限。 修复建议：
如果此IP为您正常使用IP，请添加到MTD的白名单中。 BlackList 发现与历史情报相似的黑名单IP访问。 默认严重级别：中危。 数据源：IAM日志。 此调查结果通知您，有发现与历史情报相似的恶意攻击IP访问IAM账号。 修复建议： 如果此IP为您正常使用IP，请添加到MTD的白名单中。 CnC
PI通常用于更改您的账户中的安全组、路由和ACL的网络访问权限。 严重级别：非固定，MTD根据告警实际威胁程度定级。 数据源：CTS日志。 此调查结果通知您，发现与历史情报相似的恶意IP尝试调用一个API，该API通常用于更改您的账户中的安全组、路由和ACL的网络访问权限。 修复建议：
如果此IP为您正常使用IP，请添加到MTD的白名单中。 BlackList 发现与历史情报相似的黑名单IP访问。 默认严重级别：中危。 数据源：IAM日志。 此调查结果通知您，有发现与历史情报相似的恶意攻击IP访问IAM账号。 修复建议： 如果此IP为您正常使用IP，请添加到MTD的白名单中。 CnC
威胁情报”，进入“威胁情报”界面。 查看威胁情报的详细信息，如表1所示。 表1 威胁情报 参数 说明 文件名称 威胁情报文件的名称。 类型 威胁情报文件的类型，包括“IP”和“域名”。 格式 威胁情报文件的格式，目前仅支持Plaintext格式的文件，详情请参见如何编辑Plaintext格式的对象？。 上传时间
选择“白名单”页签，查看白名单的详细信息，如表1所示。 表1 白名单 参数 说明 文件名称 白名单文件的名称。 类型 白名单文件的类型，包括“IP”和“域名”。 格式 白名单文件的格式，目前仅支持Plaintext格式的文件，详情请参见如何编辑Plaintext格式的对象？。 上传时间
查看告警类型详情 IAM告警类型详情 CTS告警类型详情 DNS告警类型详情 OBS告警类型详情 VPC告警类型详情
此调查结果通知您，有不属于您账户下的用户首次访问桶，此客户端没有此桶的历史访问记录。 修复建议： 如果此用户不是此桶的授权用户，则可能表明凭据已被公开或您的OBS权限限制性不够，请修复受损的OBS存储桶权限访问策略。 UserAccessFrequencyAbnormal 发现用户访问特定桶的频率出现异常。
查看告警示例及统计 IAM告警类型详情 CTS告警类型详情 DNS告警类型详情 OBS告警类型详情 VPC告警类型详情
添加至MTD白名单后，威胁检测服务将优先关联检测白名单内的IP或域名，对日志中存在关联的白名单信息进行忽略。 IP 桶名称 对象文件所在的OBS桶名称。 说明： 如果没有可选择的OBS桶，可单击“查看/创建桶”，进入对象存储服务管理控制台，查看/创建OBS桶，更多详细操作请参见创建桶。 obs-mtd-bejing4
当您未在当前Region创建检测引擎并开启全部的日志检测时，流程引导模块会默认开启且无法关闭。 关闭后，可单击界面上方的“流程引导”，再次显示流程引导模块的内容。 查看规格包详情。页面右上角会显示购买的规格包名称，鼠标移动至规格包，弹出规格包详情如图4所示。 图4 查看规格包信息 查看告警示例类型或告警信息，详情请参见查看检测结果。
“MTD+OBS”数据同步 02 购买 根据您的业务情况，购买需要的威胁检测包，不同的威胁检测包存在检测量多少的差异。 购买方式 如何购买 计费模式 计费说明 04 使用 根据您的业务需要，您可以设置检测类型、添加威胁情报、添加威胁白名单。此外，您也可以实时查看检测结果、分析告警事件，以便及时
文件名称 添加的情报文件名称，建议自定义。 BlackList 对象类型 选择需要从OBS桶添加至MTD服务的对象文件类型。 IP：服务将基于您情报内的IP地址进行威胁检测。 域名：服务将基于您情报内的域名进行威胁检测。 添加至MTD情报后，威胁检测服务将优先关联检测情报内的IP或域名
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
